金眼狗团伙近期活动跟踪

金眼狗的业务范围涵盖远控、挖矿、DDOS 和流量相关。基于奇安信威胁雷达的测绘分析，从 2022 年以来，金眼狗一直是对国内攻击频率最高的几个组织之一。本文将对最近几年捕获到的金眼狗样本以及攻击手法进行介绍，并讨论金眼狗的常用攻击手法和样本演变。

金眼狗通过部署虚假的软件下载网站，再配合不同方式诱导受害者下载安装其恶意程序。主要目标为博彩行业以及相关人员，由于其仿冒网站使用 SEO 优化并且做得相当逼真，所有搜索了特定仿冒软件的人都有可能下载到伪装的恶意安装包。所以金眼狗的攻击影响面极为广泛，国内受影响目标包括互联网公司、证券、制造业、IT 等行业；近期我们发现金眼狗开始频繁使用银狐、winos 等新兴远控木马作为其远控手段。

金眼狗的攻击流程如下图所示：

金眼狗团伙常用的仿冒流行软件包括：

• Telegram中文版安装包

• 快连VPN

• Potato社交软件

• WPS办公软件

• 搜狗输入法

• Opera浏览器

• Chrome浏览器

• Tor

• 爱思助手

• Team Viewer

• ToDesk

• 穿梭VPN

• 快帆VPN

• 飞连VPN

• v2rayN

• 爱加速

• TradingView投资软件

• 旋风转换器 等等

与此同时，该团伙还针对加密货币从业者投放了囊括 MEXC 加密货币交易所、OKX 欧易数字货币交易所、Gate 芝麻开门在内的多个虚拟货币交易平台仿冒网站。

除开直接在水坑网站目录下获取恶意程序外，此次还发现不同水坑共用恶意域名作为公共服务器，攻击者通过使用程序名或不规则代码来区分对应的恶意程序，之后恶意服务器识别到不同代码后跳转相应的云存储服务器链接进行下载。

样本来源

该样本为水坑网站 www.telegramkx[.]com 的最新样本，与此前我们发现金眼狗组织使用的木马运行流程一致：

该木马伪装为 Telegram 的中文版安装程序：

木马执行细节

1. 该样本为 Setup Factory Runtime 生成的 EXE 安装包，运行时将释放含签名的中文 TG 程序，签名信息如下：

样本来源

该样本为水坑网站 i4.com[.]vn 的最新样本，经分析为银狐家族木马，最终释放了 Gh0st 实现远程控制：

木马执行细节

1. 该样本将释放正常的爱思助手安装程序，除此之外还将释放白+黑木马程序：

样本来源

该样本为水坑网站 v2raynos[.]com 的相关样本，经分析为银狐家族木马，最终释放了 Winos 实现远程控制：

木马执行细节

1. 该样本安装时会释放一个黑 DLL 与一个 .log 后缀的恶意文件：

此次事件中金眼狗团伙除了投放远控木马外，还存在挖矿相关的木马程序，示例样本信息如下：

自带的配置信息如下：

实际上，通过奇安信威胁雷达的遥测感知和奇安信红雨滴团队基于客户现场的 APT 攻击线索，并结合使用了奇安信威胁情报的全线产品告警数据进行分析，从 2022 年以来，金眼狗一直是对国内攻击频率最高的几个组织之一，涉及教育、互联网、证券、制造业、IT 软件服务等等多个行业。

目前，基于奇安信威胁情报中心的威胁情报数据的全线产品，包括奇安信威胁情报平台（TIP）、天擎、天眼高级威胁检测系统、奇安信NGSOC、奇安信态势感知等，都已经支持对此类攻击的精确检测。

[2].https://ti.qianxin.com/blog/articles/operation-dragon-dance-the-sword-of-damocles-hanging-over-the-gaming-industry/

水坑域名：

i4.com.vn

aisizhushou.com

cn-wps.com

fl-vpn.com

cs-vpn.com

transocks-vpn.com

gategw.com

zh-aijiasu.com

ajsvpn.com

zh-potato.com

potato-zh.com

opuaera.com

sogou-shurufa.com

todeskcn.com

todesk-zh.com

v2raynos.com

zh-csvpn.com

zh-mexc.com

chinese-whatsapp.com

apps-whatsapp.com

zhcn-whatsapp.org

downloads-whatsapp.com

windows-whatsapp.com

china-whatsapp.com 

telegramca.com

china-telegram.im

www-telegram.org

telegrampw.com

telegramlo.com

telegramqo.com

telegramkx.com

telegramox.com

telegram-apk.com

telegram-desktop.org

qobddze.cn

oeokx.cn

okx-client.cn

zh-okex.cn

zh-gateio.cn

aicoinzh.com

tradingview-en.com

ayicoin.com

aicoims.com

nbxieheng.cn

line-zhcn.com

www-wps.org

恶意下载服务器：

www.heimao-136.com

www.heimao-134.com

www.heimao-132.com

www.heimao-131.com

zhcn.down-cdn.com

zh.seacdndown.com

cdn-down.cdndown.shop

tlelga929.oss-cn-hongkong.aliyuncs.com

mmm3.oss-cn-hongkong.aliyuncs.com

tgurl.cc

dshjfdf.oss-cn-hongkong.aliyuncs.com

trdgh.oss-cn-hongkong.aliyuncs.com

tgram1025.oss-cn-hongkong.aliyuncs.com

uifdt6.oss-cn-hongkong.aliyuncs.com

oss-kuaisu.oss-cn-hongkong.aliyuncs.com

teleram914.oss-cn-hongkong.aliyuncs.com

assau.oss-ap-southeast-7.aliyuncs.com

downs-hao123.top

38.12.22.84

38.12.20.98

paopaoliaotian.s3.ap-east-1.amazonaws.com

softs-downloads.oss-ap-southeast-1.aliyuncs.com

矿池：

mm.bitbrowser.me:3333

C2：

titamic.com

simmem.com

golomee.com

guduo.xyz

154.204.0.5:15628

27.124.43.226:15628

206.119.81.142:15628

154.91.64.32:15628

1.32.254.26:15628

154.23.176.47:15628

202.79.174.153:15628

1.32.253.30:15628

45.120.80.106:15628

103.99.63.155:15628

154.19.167.161:15628

143.92.57.75:15628

103.229.60.101:15628

103.97.228.178:15628

103.106.202.99:15628

1.32.249.20:15628

27.124.43.69:15628

27.124.2.12:15628

38.47.233.250:15628

156.248.57.11:15628

137.220.135.149:15628

103.181.134.170:15628

27.124.4.188:15628

8.217.125.184:15628

103.234.73.63:15628

180.215.194.24:15628

143.92.32.50:15628

192.252.181.56:15628

137.220.135.130:15628

154.82.92.35:15628

156.248.57.49:15628

134.122.129.8:15628

45.145.73.105:15628

27.124.7.23:15628

103.107.239.23:15628

1.32.249.143:15628

156.240.106.128:15628

154.84.24.112:15628

144.48.221.176:15628

47.76.148.61:15628

81.31.208.55:15628

8.217.132.138:15628

206.119.80.89:15628

154.204.0.7:15628

27.50.63.40:15628

154.84.23.38:15628

206.238.40.164:2869

103.215.76.136:2869

202.146.220.95:6666

202.146.220.95:8888

38.46.12.82:51163